Senhas do Ministério da Saúde vazam e expõem 16 milhões de brasileiros

Informações pessoais de pacientes com diagnósticos suspeitos ou confirmados de covid-19 ficaram disponíveis na internet por quase um mês depois que senhas do Ministério da Saúde foram publicadas em uma plataforma aberta, segundo o jornal “O Estado de S. Paulo” em uma reportagem publicada nesta quinta-feira (26).

As senhas permitiam acesso a dados como CPF, endereço, telefone e doenças pré-existentes de pelo menos 16 milhões de pessoas em todo o país, segundo o jornal.

Os dados foram publicados por um funcionário do Hospital Albert Einstein, em São Paulo, em um site de compartilhamento de códigos de programação usado por programadores e cientistas de dados, também de acordo com o “O Estado de S. Paulo”.

Colaborador vazou dados

Em nota divulgada nesta quinta-feira (26), o hospital disse que “tomou conhecimento” na tarde de quarta-feira (25), que “um colaborador contratado para prestar serviços ao Ministério da Saúde havia arquivado informações de acesso a determinados sistemas sem a proteção adequada.”

O Einstein disse que o funcionário foi demitido “por ter infringido as normas internas adotadas para garantir proteção e segurança de dados”. Segundo a nota, “não houve divulgação de quaisquer dados pelo empregado”, e o hospital “não tem acesso a eles”.

Em comunicado anterior ao do hospital, o Ministério da Saúde afirmou que o Einstein estava adotando medidas para “um possível vazamento de arquivos contendo login e senha para acesso das informações” por meio de um mecanismo de busca de dados aberto chamado Elastic Search.

Ainda de acordo com a pasta, o hospital informou que “uma planilha foi equivocadamente publicada em uma plataforma de hospedagem de código-fonte”.

Nem o Einstein, nem o Ministério da Saúde confirmaram o número de pacientes cujas informações podem ter ficado expostas após a publicação das senhas.

Senhas e planilha

De acordo com o “O Estado de S. Paulo”, com as senhas publicadas, era possível acessar registros relacionados à Covid-19 em dois sistemas do governo federal: um com notificações de casos suspeitos e confirmados da doença e outro com as internações por síndrome respiratória aguda grave (SRAG).

A SRAG pode ser causada por vários vírus respiratórios, mas, neste ano, quase 98% dos casos no Brasil têm o vírus da Covid-19 como causa, segundo dados da Fiocruz.

Os dados das internações por SRAG têm sido usados para estimar com mais precisão o número de casos de Covid no país – que são subnotificados por causa da pouca testagem.

O jornal disse que recebeu uma denúncia com o link para página onde a senhas estavam disponíveis. Segundo a reportagem, a planilha com os dados foi publicada em 28 de outubro.

Na nota desta quinta (26), o Einstein disse que as informações “foram removidas imediatamente e o fato comunicado ao Ministério da Saúde para que fossem tomadas medidas que assegurassem a proteção das referidas informações.”

O Ministério da Saúde informou que o Departamento de Informática do SUS (DataSUS) “revogou imediatamente todos os acessos dos logins e das senhas que estavam contidos na referida planilha”.

Ainda de acordo com a Saúde, os bancos de dados “não são de fácil acesso, uma vez que apenas login e senha não são suficientes para se chegar às informações contidas nos bancos de dados – e sim um conjunto de fatores técnicos”.

Dados de membros do governo

A reportagem afirma que o presidente Jair Bolsonaro e ao menos outros 7 ministros foram afetados pelo vazamento – incluindo o ministro da Saúde, Eduardo Pazuello; o ministro da Cidadania, Onyx Lorenzoni; e a ministra da Mulher, Família e dos Direitos Humanos, Damares Alves.

Também tiveram os dados expostos o governador de São Paulo, João Doria (PSDB), e outros 16 governadores, além dos presidentes da Câmara, Rodrigo Maia (DEM-RJ), e do Senado, Davi Alcolumbre (DEM-AP), de acordo com o jornal.

Ainda segundo a reportagem, “tanto pacientes da rede pública quanto da privada tiveram seus dados expostos”, porque a notificação de casos suspeitos e confirmados de Covid é obrigatória a todos os hospitais.

Nota do Hospital Albert Einstein

“São Paulo, 26 de novembro de 2020 – O Hospital Israelita Albert Einstein tomou conhecimento na tarde desta quarta-feira, 25/11, que um colaborador contratado para prestar serviços ao Ministério da Saúde havia arquivado informações de acesso a determinados sistemas sem a proteção adequada.

Estas informações foram removidas imediatamente e o fato comunicado ao Ministério da Saúde para que fossem tomadas medidas que assegurassem a proteção das referidas informações.

O Einstein ressalta que não houve divulgação de quaisquer dados pelo empregado e que o hospital não tem acesso a eles. Eles ficam arquivados em uma base de dados do Ministério da Saúde e são usados em um programa de monitoramento da pandemia de Covid-19. O colaborador estava inclusive locado em Brasília.

A organização reitera seu compromisso com a segurança das informações e a proteção de dados e informa que já iniciou a apuração do incidente. Além disso, realizou na manhã da quinta-feira, 26/11, o desligamento do colaborador por ter infringido as normas internas adotadas para garantir proteção e segurança de dados.”

Nota do Ministério da Saúde

“O Ministério da Saúde informa que realizou reunião com o Hospital Israelita Albert Einstein – com quem tem parceria via Proadi -, para esclarecimento dos fatos. O profissional contratado atua no MS como cientista de dados e iniciou as atividades em 14/09/2020 e, no âmbito das medidas de segurança do ministério, em atendimento aos protocolos de compliance e confidencialidade, por meio de assinatura do termo de responsabilidade antes do acesso à base de dados do e-SUS Notifica.

O Hospital informou ao Ministério da Saúde que iniciou um processo de apuração dos fatos. A equipe de segurança cibernética do hospital está tomando todas as medidas para conter um possível vazamento de arquivos contendo login e senha para acesso das informações dos sistemas via Elastic Search. A instituição informou, também, que uma planilha foi equivocadamente publicada em uma plataforma de hospedagem de código-fonte. Este documento foi apagado e está sendo realizado o rastreamento de possíveis sites ou ciberespaços onde os dados podem ter sido replicados. O hospital confirmou que houve falha humana de um dos seus colaboradores – e não do sistema.

O Departamento de Informática do SUS (DataSUS) revogou imediatamente todos os acessos dos logins e das senhas que estavam contidos na referida planilha. É importante ressaltar que os dados não são de fácil acesso, uma vez que apenas login e senha não são suficientes para se chegar às informações contidas nos bancos de dados – e sim um conjunto de fatores técnicos,. O Ministério da Saúde ressalta que todos os técnicos que têm acesso aos seus sistemas de informação assinam termo de responsabilidade para uso das informações e todos estão cientes de que a divulgação de informações pessoais está sujeita a sanções penais e administrativas.”

Leia mais no G1

Foto: Valter Campanato/Agência Brasil